Self-Adaptive Multi-Agent LLM-Based Security Pattern Selection for IoT Systems

以下は、論文「Self-Adaptive Multi-Agent LLM-Based Security Pattern Selection for IoT Systems（ASPO）」の詳細な技術的概要です。

1. 問題定義

インターネット・オブ・シングス（IoT）システムの急速な拡大により、セキュリティの執行がリソース制約のあるエッジゲートウェイへ移行しています。既存のアプローチは攻撃検出に焦点を当てていますが、決定的な課題はランタイムにおける緩和策の選択にあります。すなわち、どのセキュリティ制御を活性化し、どのように組み合わせ、どの順序で実行するかを決定し、かつレイテンシ、エネルギー、メモリ、CPU に関する厳格な制約を遵守することです。

現在のソリューションは構造的な非互換性に直面しています：

• 深層強化学習（DRL）： 適応性を提供しますが、明示的な推論が欠如しており、競合のない実行やリソース実現可能性を保証できません（安全性は報酬に暗黙的にエンコードされているに過ぎません）。
• 最適化ベースの手法： 制約を強制しますが、複雑で変化する脅威シナリオに対処するための文脈的推論が欠如しています。
• 大規模言語モデル（LLM）： 強力な推論とマルチエージェントワークフローを提供しますが、厳密に制御されない限り、実行不可能、不安全、またはリソース予算違反となる確率的な出力を生成します。

エッジ制約下で常に安全、実現可能、かつ実行可能なセキュリティポートフォリオを選択するために、文脈を認識するエージェント的推論と決定論的執行を統合した統一されたランタイムメカニズムが存在しません。

2. 手法：ASPO フレームワーク

著者は、MAPE-K（Monitor, Analyze, Plan, Execute, Knowledge：監視、分析、計画、実行、知識）自律制御ループに基づいた自己適応型マルチエージェントシステムであるASPOを提案します。中核的な革新は、確率的な熟考と決定論的執行の明示的な分離にあります。

A. 構造とワークフロー

1. 監視と分析：
   • エッジゲートウェイから生テレメトリ（トラフィック特徴、リソース指標）を収集します。
   • 決定論的エンコーダを使用して、脅威クラス、重大度、信頼度、利用可能なリソース予算を含む構造化された有界コンテキスト（$S_t$）を構築します。
2. 計画（ハイブリッド確率的 - 決定論的コア）：
   • エージェント的熟考（確率的）： 文脈、推論、制約、プランナー、監査エージェントからなるマルチエージェント LLM システムが、構造化されたコンテキストに基づいて候補となる緩和策ポートフォリオを提案します。これらのエージェントはスキーマ制約付きの JSON 形式内で動作しますが、確率的なままです。
   • 決定論的執行（ハード制約）： ローカルの決定論的最適化コアが LLM の候補を受け取り、ハード制約を適用します：
     • クローズドワールドメンバーシップ： 定義済みのカタログ（例：ホワイトリスト、セグメンテーション、セキュアフォグ）からのパターンのみが許可されます。
     • 競合のない構成： 競合マトリクスを使用して、互いに排他的なパターンが同時に選択されないことを保証します。
     • リソース実現可能性： 結合コスト（CPU、メモリ、レイテンシ、エネルギー）が現在の予算内に収まることを検証します。
     • 実行順序付け： 優先順位ルールに基づいたトポロジカルソートを使用して、有効な活性化シーケンスを決定します。
3. 実行：
   • 検証済みのポートフォリオを活性化します。決定論的ゲートが LLM の提案を競合やリソース違反により拒否した場合、代わりに軽量な「フェイルセーフ」ベースラインポリシーが活性化されます。
4. 知識：
   • 定義されたコスト、機能、相互作用ルールを持つ 10 種類の特定のセキュリティパターンのクローズドワールドカタログを維持します。

B. 脅威モデル

このシステムは、敵対者が LLM の推論を歪めるためにテレメトリやコンテキスト入力を操作できる（例：プロンプトインジェクションやコンテキストポイズニング）と仮定します。しかし、最終的な作動は固定されたカタログとハード制約に対する決定論的最適化コアによってのみ決定されるため、推論段階が操作された場合でも、実行されるアクションは安全かつ実現可能であることを保証します。

3. 主要な貢献

1. ハイブリッドエージェント - 決定論的パラダイム： ASPO は、マルチエージェント LLM 推論と決定論的検証コアを統合することで、純粋なポリシー学習を超えて進みます。これにより、複雑な意思決定を可能にしつつ、ランタイムにおいて不安全または実行不可能なアクションを防止します。
2. セキュリティ構成の決定論的執行： 著者は、緩和策の選択をクローズドワールド最適化問題として再定式化しました。ソフトペナルティではなく、各意思決定エポックにおいて競合のない構成とレイテンシ/エネルギー予算への準拠をハード制約として保証します。
3. エッジテストベッドでの運用検証： システムは分散型エッジゲートウェイテストベッド（Raspberry Pi 4 ノード 10 台）に実装され、再生された攻撃トラフィック（500 および 1000 意思決定エポック）を用いたBot-IoT データセットで評価されました。

4. 実験結果

評価により、ASPO はワークロードの拡張下で不変の安全性特性を達成し、効率性が向上することが示されました：

• 安全性執行： 決定論的ゲートは厳格なフィルターとして機能します。1000 回のワークロードにおいて、LLM によって生成された候補プランの**99.5%**が制約違反（競合、リソース制限、または順序付けの問題）により拒否され、実行のために検証された少量のセットのみが残されました。これは、システムが活性化頻度よりも安全性を優先していることを確認します。
• 安定性と一貫性：
  • パターンランキング： セキュリティパターンの選択はワークロード全体で完全に安定しており（スピアマン順位相関係数 = 1.0）、意思決定ロジックのドリフトは示されませんでした。
  • ゲート - 監査合意： 決定論的ゲートと承認されたプランに関する監査エージェントとの間には 100% の合意がありました。
• エッジ効率（テールレイテンシとエネルギー）：
  • 意思決定深度の増加（500 から 1000 回へ）は、中央値のレイテンシやエネルギー消費を増加させませんでした。
  • 重要なのは、極端なケースのコストが大幅に減少したことです：
    • P99 レイテンシは**21.9%**減少（36.0 秒から 28.1 秒へ）。
    • P99 エネルギーは**23.1%**減少（216J から 166J へ）。
  • これは、より深い探索がシステムに「テール」の非効率性をフィルタリングさせ、より予測可能なパフォーマンスをもたらすことを示唆しています。
• ロバスト性： システムは異なる脅威タイプ（DDoS、DoS、ボットネットなど）全体で一貫した動作を維持し、特定の攻撃カテゴリに対する統計的に有意なバイアスは示されませんでした。

5. 意義

この研究は、IoT における自律型サイバーセキュリティの重要なギャップに対処します。LLM の確率的性質が厳密な決定論的制御ループ内に収容される場合、LLM は安全性が重要でリソース制約のある環境で安全に展開可能であることを示しています。

• ポリシー学習から熟考への転換： ASPO は、ランタイム防御をポリシーの学習から、有界で検証可能な熟考の実行へと再定義します。
• 予測可能性： ハード制約を強制することで、ASPO はエッジゲートウェイがリソース枯渇によりクラッシュしたり応答しなくなったりすることを保証します。これは適応型 AI システムにおける一般的な失敗モードです。
• 実用的な展開： 結果は、複雑なマルチエージェント推論が、現実世界の IoT セキュリティに必要な厳格な安全性と実現可能性の保証を犠牲にすることなく、エッジデバイスに統合可能であることを証明しています。

結論として、ASPO は信頼性の高い自律防衛のための青写真を提供し、LLM の推論能力と決定論的最適化の厳密さを組み合わせることで、適応性がありかつ安全なシステムを生み出すことを示しています。